Das CAT-Format der CISSP-Prüfung, Frage für Frage erklärt

Die CISSP-Prüfung wird als computergestützter adaptiver Test abgelegt – CAT, für Computerized Adaptive Testing. Konkret heißt das: Sie erhalten keine im Voraus festgelegte Liste von Fragen, sondern eine Folge von Fragen, die fortlaufend anhand Ihrer vorherigen Antworten ausgewählt werden. Seit dem 15. April 2024 umfasst diese Folge 100 bis 150 Fragen, zu bearbeiten in maximal 3 Stunden. Davor lag das Format bei 125 bis 175 Fragen in 4 Stunden: Ein erheblicher Teil der online verfügbaren Erfahrungsberichte beschreibt also eine Prüfung, die es nicht mehr gibt.

Diese Anhaltspunkte stammen aus Erfahrungsberichten von Kandidaten, von August 2023 bis Juli 2026 (unsere Methodik); die offizielle Regelung findet sich auf isc2.org.

Was ist das CAT-Format der CISSP-Prüfung?

Ein CAT verfolgt nicht das Ziel, Sie möglichst viele Fragen beantworten zu lassen: Er versucht, Ihr Niveau mit ausreichender Sicherheit zu schätzen, um zu entscheiden. Jede Antwort verfeinert diese Schätzung, und die nächste Frage wird so gewählt, dass sie die verbleibende Unsicherheit verringert.

Das Grundprinzip

Ein Kandidat fasst die Mechanik im Oktober 2024 zusammen, im meistzitierten Bericht zu diesem Thema:

„At the beginning of the test, the CAT presents a question of medium difficulty. [...] If they answer correctly, the next question will be more challenging; if they answer incorrectly, the next question will be easier.“ („Zu Beginn des Tests stellt das CAT eine Frage mittleren Schwierigkeitsgrads. [...] Antwortet der Kandidat richtig, wird die nächste Frage schwieriger; antwortet er falsch, wird sie leichter.“)

Unmittelbare Folge: Wer gut abschneidet, erlebt eine Prüfung, die immer schwerer wird. Die empfundene Schwierigkeit ist also kein schlechtes Zeichen, sondern die normale Funktionsweise des Verfahrens.

Was das CAT nicht ist

Es ist kein linearer Fragebogen, den man im eigenen Tempo durchgeht. Kein Kandidat erwähnt die Möglichkeit, zu einer bestätigten Frage zurückzukehren, und der häufigste Rat lautet, das Kapitel zu schließen: „forgot about every question everytime I pressed next“ („Ich habe jede Frage vergessen, sobald ich auf Weiter gedrückt habe.“). Diese Unmöglichkeit der Rückkehr verändert die Art, wie man jede Aufgabenstellung angeht – ausführlich beschrieben in der Methode zur Beantwortung einer CISSP-Frage.

Wie viele Fragen und wie viel Zeit seit April 2024?

Zeitraum	Anzahl der Fragen	Dauer
Bis zum 14. April 2024	125 bis 175	4 Stunden
Seit dem 15. April 2024	100 bis 150	3 Stunden

Die Spanne 100–150 Fragen in 3 Stunden des aktuellen Formats wird durch zahlreiche Berichte bestätigt – ein Bericht über ein Nichtbestehen erwähnt „the entire 150 questions for 3hours“.

Vorsicht vor einem Irrtum, der am Tag der Umstellung selbst dokumentiert ist: Ein Kommentator schrieb damals „Think it shifted from 125-175 to 100-125“. Die obere Grenze ist falsch – mehrere spätere Berichte beschreiben Prüfungen, die exakt bei 150 Fragen endeten.

Wie wählt der Algorithmus die nächste Frage aus?

Über das „richtige Antwort, schwerere Frage“ hinaus nennt ein Kommentator das Auswahlkriterium für die Items:

„So the CAT uses something called discriminative efficiency. [...] the point biserial correlation coefficient, which correlates the score on a specific item with the overall test score.“ („Das CAT nutzt das, was man Trennschärfe nennt: den punktbiserialen Korrelationskoeffizienten, der das Ergebnis bei einer bestimmten Frage mit dem Gesamtergebnis des Tests korreliert.“)

Anders gesagt: Der Algorithmus bevorzugt die Fragen, die Kandidaten auf Ihrem geschätzten Niveau am besten trennen.

„Leicht“ und „schwer“ sind subjektiv

Die Schwierigkeit einer Frage ist eine statistische Eigenschaft des Items, nicht Ihr Empfinden. Derselbe Kommentator formuliert es so: „Maybe you are an expert in incident response, so those questions are easier. Where maybe you hate databases (we all do it's ok).“ („Vielleicht sind Sie Experte für Incident Response, dann erscheinen Ihnen diese Fragen leicht. Und vielleicht hassen Sie Datenbanken.“) Eine als schwer kalibrierte Frage kann Ihnen trivial vorkommen.

Der Algorithmus sucht Ihre Grenzen

Mehrere Kandidaten beschreiben eine Prüfung, die immer wieder auf dasselbe Thema zurückkommt: „The adaptive test will zero in on your every weakness like a crazy ex !!“ („Der adaptive Test nimmt jede Ihrer Schwächen ins Visier wie ein besessener Ex-Partner.“) Die Deutung ist allerdings trügerisch: Ein Kandidat mit sehr solidem Kryptografiewissen wurde mit Krypto-Fragen bombardiert und hat bestanden. Sein Fazit: „Don't stress the CAT too much, it's going to do what it wants and you're just along for the ride.“ („Verkrampfen Sie sich nicht beim CAT: Es macht, was es will, Sie sind nur Beifahrer.“)

Was ist eine Beta-Frage, und zählt sie für die Punktzahl?

Ein Teil der gestellten Fragen wird nicht gewertet: Es sind Fragen, die noch kalibriert werden und eingestreut sind, um künftige Inhalte zu erproben.

„Beta questions on the CISSP exam serve as unscored questions that help test developers evaluate new content. These questions are mixed into the exam without affecting the test-taker's score.“ („Beta-Fragen sind nicht gewertete Fragen, die den Testentwicklern helfen, neue Inhalte zu bewerten. Sie werden der Prüfung beigemischt, ohne die Punktzahl des Kandidaten zu beeinflussen.“)

Der Fragenpool ist groß: „The pool of questions is tens of thousands questions“ („Der Pool umfasst Zehntausende von Fragen.“).

Ein Kandidat schätzt im Juli 2024 ihren gefühlten Anteil auf „10% that were probably questions they were testing out“ – ein Eindruck, keine offizielle Zahl. Während der Prüfung lassen sie sich nicht erkennen, was schon genügt, um die Deutung „diese Frage ist leicht, also falle ich durch“ zu entkräften.

Wann und warum endet die Prüfung?

Die Prüfung endet, sobald der Algorithmus genügend Informationen hat – oder wenn eine der Grenzen (150 Fragen, 3 Stunden) erreicht ist. Von den 48 verfügbaren Prüfungsberichten ist der Abbruch bei 100 Fragen mit Abstand der häufigste Fall, gefolgt von einer zweiten Gruppe, die bei 150 endete. Die vollständige Auszählung dieser Ausgänge und was sich daraus schließen lässt, steht in Prüfung bei 100 Fragen beendet: bestanden oder durchgefallen?.

Diese Verteilungen sind keine Bestehensquote: Berichte mit „Passed!“ sind online massiv überrepräsentiert. Ein Abbruch bei 100 Fragen bedeutet nur, dass der Algorithmus entschieden hat – in die eine wie in die andere Richtung; ein Kommentar berichtet „Failed at 100, proficient on 3 domains and below on the other 5“ („Bei 100 durchgefallen, auf Niveau in 3 Domänen und darunter in den übrigen 5.“).

Welche Informationen erhält man am Ende der Prüfung?

Der Bildschirm schaltet sich ohne Vorwarnung ab – „out of nowhere the screen goes black“ („Ohne Vorwarnung wird der Bildschirm schwarz.“) – und es folgt ein Zufriedenheitsfragebogen, der ebenfalls unter Zeitdruck steht. Das Ergebnis wird anschließend vom Aufsichtspersonal auf Papier ausgehändigt, oft wortlos; der vollständige Ablauf beim Verlassen des Prüfungsraums ist beschrieben in dem Prüfungstag im Pearson-VUE-Testcenter. Bei Bestehen weist es einen vorläufigen Status aus:

„Congratulations! We are pleased to inform you that you have provisionally passed...“ („Herzlichen Glückwunsch! Wir freuen uns, Ihnen mitteilen zu können, dass Sie vorläufig bestanden haben …“)

Bei Bestehen wird keine Punktzahl mitgeteilt. Bei Nichtbestehen enthält der Bericht eine Einordnung je Domäne, etwa „150 Questions — Result: 3 Above, 2 Near, 3 Below — Time Left: 5 minutes“. Die Einzelheiten der Bewertung und die Schwelle von 700/1000 werden behandelt in CISSP-Punktzahl 700/1000: warum das keine 70 % sind.

Was ändert das Format für Kandidaten, deren Muttersprache nicht Englisch ist?

Alle verfügbaren Berichte beschreiben eine auf Englisch abgelegte Prüfung, und die sprachliche Belastung kommt regelmäßig zur Sprache:

„I have to say, as a non-native English speaker, some questions were really more of a language test than cybersecurity“ („Ich muss sagen, als Nicht-Muttersprachler waren manche Fragen wirklich eher ein Sprachtest als Cybersicherheit.“)

Ein an diesen Diskussionen beteiligter ISC2-Fragenautor versichert, dass dieser Mangel bekämpft wird: „we have been trying very hard to make the questions as 'linguistically agnostic' as possible“ („Wir bemühen uns sehr, die Fragen sprachlich so neutral wie möglich zu halten.“)

Die Sprachbarriere zählt im Übrigen zu den selbst diagnostizierten Ursachen des Scheiterns, die aufgeführt sind in warum man beim CISSP durchfällt. Angebotene Sprachen und Zeitzuschläge sind offizielle Regelungen, die bei ISC2 zu prüfen sind. Ein Fall von auf 6 Stunden verlängerter Zeit, erreicht über eine an ISC2 übermittelte medizinische Ausnahme, ist dokumentiert.

Das Training unter formatnahen Bedingungen ist daher doppelt so wichtig, wenn Englisch nicht Ihre Muttersprache ist: Die Anwendung Cybridia bietet dafür einen am CAT ausgerichteten adaptiven Modus und 8 Probeprüfungen unter Zeitnahme.

Warum sind ältere Erfahrungsberichte überholt?

Ein Bericht vom August 2023 erzählt „I answered 175 questions in total“ („Ich habe insgesamt 175 Fragen beantwortet.“). Dieses Format gibt es nicht mehr. Die Umstellung ist am 15. April 2024 live dokumentiert, als ein Kandidat sich wundert, bei 100 Fragen fertig gewesen zu sein:

„Congratulations and as to why you managed to pass at 100. It is because the exam format changed today requiring fewer overall questions.“ („Glückwunsch – und wenn Sie bei 100 Fragen bestehen konnten, dann deshalb, weil sich das Prüfungsformat heute geändert hat und weniger Fragen verlangt.“)

Derselbe Kandidat wäre beinahe in die Falle getappt: schlecht informiert, berechnete er sein Tempo nach dem alten Format und „sped run through the questions“ („ist durch die Fragen gerast“). Das ist das konkrete Risiko veralteter Quellen – behandelt in Zeitmanagement bei der CISSP-Prüfung.

Leseregel für jeden online gefundenen Erfahrungsbericht: prüfen Sie das Datum. Vor April 2024 gelten Fragenzahl, Dauer und Tempoangaben nicht mehr – die übrigen Artikel des Blogs stützen sich auf das aktuelle Format.